Masker tidur pintar mengirim gelombang otak pengguna ke broker MQTT publik

• Terungkap bahwa masker tidur pintar yang dibeli di Kickstarter mengirimkan data gelombang otak pengguna ke luar
• Masker ini terdiri dari perangkat keras gabungan dengan sensor EEG, stimulasi listrik (EMS), getaran, pemanas, dan fungsi audio
• Dalam proses analisis aplikasi, ditemukan kredensial broker MQTT yang di-hardcode dan dibagikan oleh semua perangkat, sehingga pihak ketiga dapat menerima data real-time dari semua perangkat
• Faktanya, terkonfirmasi sekitar 25 perangkat sedang mengirim gelombang otak real-time, suhu, kelembapan, CO₂, dan data deteksi keberadaan ke broker publik
• Dengan kredensial yang sama, pengiriman perintah stimulasi listrik juga dimungkinkan, sehingga ada risiko serius terhadap keselamatan pengguna dan perlindungan privasi

---

Struktur dan fungsi masker tidur pintar

• Masker yang diperoleh melalui Kickstarter adalah produk buatan perusahaan riset kecil di Tiongkok, dan mencakup pengukuran gelombang otak berbasis EEG serta fungsi electrical muscle stimulation (EMS), getaran, pemanas, dan pemutaran audio
• Karena kualitas aplikasinya buruk dan koneksi sering terputus, dilakukan reverse engineering pada protokol Bluetooth lalu dibuat panel kontrol web sendiri
• Hasil pemindaian BLE menunjukkan ada dua kanal data (untuk pengiriman perintah dan streaming data), tetapi tidak ada respons karena menggunakan spesifikasi proprietari, bukan protokol standar

Proses reverse engineering aplikasi

• Hasil dekompilasi APK Android dengan jadx menunjukkan bahwa aplikasi ditulis berbasis Flutter
  • Flutter mengompilasi kode Dart menjadi kode native ARM64, sehingga lebih sulit dipulihkan dibanding aplikasi Java biasa
• Dari biner, perintah strings digunakan untuk mengekstrak kredensial broker yang di-hardcode, endpoint API cloud, nama 15 fungsi perintah, dan informasi struktur paket
• Setelah itu, alat blutter digunakan untuk menganalisis snapshot Dart dan memulihkan seluruh byte perintah

Berhasil mengendalikan perangkat

• Setelah mengirim kueri 6 byte, perangkat mengembalikan respons 153 byte
  • Termasuk nama model, versi firmware, nomor seri, konfigurasi 8 kanal sensor (EEG 250Hz, pernapasan, akselerometer 3 sumbu, giroskop 3 sumbu), serta baterai 83%
• Kontrol getaran, pemanas, EMS, dan musik semuanya berfungsi normal
• Di dashboard web, dibuat agar setiap fungsi dapat dikendalikan lewat slider

Paparan broker MQTT

• Saat terhubung ke broker MQTT menggunakan kredensial yang di-hardcode di aplikasi, data dari semua perangkat langsung diterima
  • Sekitar 25 perangkat aktif, mengirim data EEG saat tidur, kualitas udara (suhu, kelembapan, CO₂), dan informasi deteksi keberadaan
• Dua pengguna masing-masing teridentifikasi berada dalam fase tidur REM dan fase tidur gelombang lambat (gelombang delta di bawah 4Hz)
• Karena semua perangkat menggunakan kredensial yang sama, ada kemungkinan orang luar mengirim perintah stimulasi listrik

Masalah keamanan dan respons

• Nama produk dan nama perusahaan tidak dipublikasikan, dan masalah ini telah diberitahukan kepada produsen
• Insiden ini menyoroti celah serius dalam perlindungan data pribadi dan pengelolaan keamanan IoT
• Penulis menyarankan untuk membaca kembali tulisan Karpathy, Digital Hygiene, dan menekankan pentingnya kebersihan digital

Informasi tambahan

• Proses reverse engineering dilakukan secara otonom selama sekitar 30 menit oleh model Claude (Opus 4.6)
• Setelah itu, kasus ini naik ke peringkat 1 di Hacker News, dan log percakapan terkait dipublikasikan

[GN⁺]

Komentar Hacker News

• Di Kickstarter ada banyak proyek yang mengambil semua jalan pintas agar bisa cepat masuk pasar
  Aku juga pernah berhasil dengan beberapa proyek, tetapi sangat berhati-hati saat mendukungnya
  Dulu para desainer industri memandang engineering sebagai sumber daya yang bisa disubkontrakkan begitu saja, lalu setelah mengumpulkan uang mereka mencoba menyerahkannya ke pihak termurah
  Namun kebanyakan gagal atau merugi. Sekarang, berkat LLM, software atau firmware terlihat seperti sesuatu yang ‘gratis’, sehingga ide-ide yang dulu ditinggalkan karena terlalu sulit mulai muncul lagi
  • Pada titik ini, aku percaya LLM akan menghasilkan hasil yang lebih aman daripada vendor engineering termurah
  • Orang yang mengira LLM bisa membuat firmware secara gratis sepertinya belum pernah benar-benar memakainya
• Menurutku masalahnya adalah gelombang otak dikirim ke server
  Aku seorang neuroscientist, jadi aku tidak melihat data EEG sebagai ‘pembaca pikiran’, tetapi ketidakprivatan data otak adalah preseden yang sangat buruk
  • Bahkan informasi seperti “orang ini sedang tidur sekarang” bisa menjadi pelanggaran privasi
    Kebocoran data seperti ini juga bisa berdampak negatif secara sosial
  • Sepertinya orang-orang akan rela memberikan data gelombang otak mereka hanya agar bisa mengirim email sedikit lebih mudah
  • Dengan EEG, tingkat kewaspadaan bisa dibaca, dan ini bisa menjadi informasi yang berguna bagi pencuri. Perangkat dengan kondisi gelombang otak lambat adalah target yang ideal
  • Aku penasaran seberapa bergunanya perangkat seperti ini untuk penelitian. Aku bukan neuroscientist jadi tidak terlalu tahu
  • Kurasa sudah ada preseden hukum privasi untuk data kesehatan
• Tentu ini tidak etis, tetapi dengan teknologi ini rasanya kita bisa membuat perangkat berbagi mimpi yang membaca gelombang otak orang dan mengirim sinyal ke masker orang lain
  Sesuatu seperti orang-orang di seluruh dunia mengalami perubahan mimpi yang sama pada saat bersamaan, ini sempurna sebagai bahan novel fiksi ilmiah
  • Kalau pekerjaanmu membutuhkan soundtrack Hans Zimmer, kemungkinan besar kamu adalah penjahatnya
  • Itu adalah plot film Paprika
  • Dreamscape (1984) juga punya premis yang mirip
  • Jadi teringat Inception
• Ini jelas sebuah bencana keamanan, tetapi kalau ada masker tidur EEG yang bisa diutak-atik dan tetap berfungsi tanpa koneksi server, itu akan cukup keren
  Akan lebih baik lagi kalau tidak perlu mengoleskan gel elektroda setiap kali
• Huruf S pada IoT berarti Security
  Aku pernah memakai open MQTT untuk membuat prototipe cepat dengan data nonpribadi, tetapi penyedia cloud meminta penghentian karena risiko menjadi relay DDoS
  Karena pengalaman itu, sulit bagiku untuk percaya pada perusahaan masker tidur ini meskipun mereka melakukan autentikasi atau manajemen izin
  • Melempar lelucon bahwa IoT memang tidak punya huruf S
  • Menambahkan candaan bahwa huruf P pada IoT berarti Privacy, Q berarti Quality, dan K berarti Ka-ching!
• Aku adalah pendiri Affectable Sleep
  Kasus ini dengan jelas menunjukkan celah dalam regulasi perangkat wellness
  Pelonggaran regulasi terbaru terkait aplikasi dan data memang positif, tetapi persyaratan keamanan data tetap wajib ada
  Perusahaan kami menjalankan semua algoritme dan pemrosesan langsung di perangkat, dan semua data yang dikirim ke server juga dienkripsi
  Sulit memahami bagaimana kita bisa mempercayai perusahaan yang bahkan tidak melakukan hal-hal mendasar seperti ini
• Aku penasaran dengan riwayat prompt proyek ini
  Dari tulisannya, terlihat seolah Claude sendiri mengekstrak APK dan melakukan decompile, jadi aku ingin tahu seberapa besar keterlibatan manusia sebenarnya
  • Hampir tidak ada campur tangan. Kalau memungkinkan, aku akan mencari catatannya dan membagikannya
  • Sangat kurang demo AI real-time seperti ini. Kalau benar-benar bekerja secara otonom, rasanya pasti ada seseorang yang menyiarkannya
• Kebanyakan orang fokus pada masalahnya, tetapi bagiku yang lebih menarik adalah bahwa Claude melakukan reverse engineering dengan baik
  Jika analisis pada level seperti ini menjadi mudah, bisa muncul implikasi baru terkait AI
  • Aku tidak setuju. Sekadar menjalankan strings dan memakai decompiler adalah prosedur dasar
    Mengulang percobaan acak hanyalah pemborosan sumber daya komputasi
• Kalimat “sekarang kita bisa membaca gelombang otak orang asing dan mengirim stimulasi listrik” terdengar hampir seperti adegan dalam novel Philip K. Dick
• Kalau kamu membeli masker tidur yang terhubung ke internet, pengumpulan data dan buruknya keamanan itu sudah wajar
  Yang justru mengejutkan adalah perusahaan ini memakai MQTT demi efisiensi
  Tentu saja keamanannya berantakan, tetapi menarik bahwa mereka setidaknya mencoba menghemat bandwidth
  • Namun pada akhirnya mereka men-streaming data semua orang, jadi keuntungan itu hilang